云安全威胁需要改进IT协作、治理，而不一定是新技术

仅仅将你的本地安全控制迁移到一个全新的云环境是不够的。即使是拥有多年经验的云组织也很脆弱。

随着企业将云服务的使用范围扩大到包括关键业务应用程序和数据，安全漏洞的风险成为了一个C级问题。轻率地将专为内部基础设施和安全控制设计的内部系统迁移到完全不同的云架构，常常是因为没有完全理解云安全的特性、控制、网络设计和用户责任，这将后患无穷。即使像Capital One这样的组织，拥有多年AWS经验、对云技术细微差别有深刻理解的公司，也可能被黑客利用，很明显，每个云用户都需要加倍努力保护自己的安全。值得庆幸的是，有一个像云安全联盟(CSA)这样的组织致力于通过开发策略、建议和威胁研究来提高云环境的安全性。

“作为DEF CON黑客大会的公共化版本，Black Hat 事件已经成为大多数安全厂商和研究人员必须停止的活动。和大多数安全会议一样，会议上也充斥着关于此前未知的软件漏洞的可怕声明、新的攻击方法以及黑客技术的创造性演示。不幸的是，与大多数安全事件一样，黑帽内容的优势描述的是威胁和漏洞，而不是对策和软件修复。CSA遵循脚本使用该事件发布关于云威胁的新报告，但是使用另一份报告进行反击，该报告详细描述了通过将安全性集成到软件开发和IT操作中来改进组织的安全状况的结构改进。”

首先，找出威胁

正如Capital One事件所展示的那样，使用云基础设施和应用程序开辟了新的网络攻击途径，同时通过在云提供商和用户之间分担安全策略的责任，使应用程序和数据安全的责任复杂化。上周的专栏关注的是职责划分，而CSA的一份新报告强调了云计算引入的新威胁载体。

CSA顶级威胁工作组定期发布其对企业云用户面临的最重要安全问题的评估。随着时间的推移，该小组发现传统上对核心基础设施的威胁如拒绝服务攻击或针对硬件和操作系统的漏洞都被云提供商有效的保护起来了，而软件堆栈中更高层次的问题是云用户的责任。CSA发布的一份关于云计算最大威胁的报告指出，

“调查中得分较高的新项目更加细致入微，表明消费者对云的理解已经成熟。这些问题本质上是特定于云的，因此表明了消费者正在积极考虑云迁移的技术前景。这些主题涉及潜在的控制平面弱点、元结构和应用程序结构故障以及有限的云可见性。这一新的重点明显不同于以往更常见的威胁、风险和漏洞(即数据丢失、拒绝服务)，这些在以前的顶级威胁报告中表现得更为突出。”

该工作组使用微软STRIDE威胁模型，分析了六个威胁类别中每个问题的范围和重要性，并将其归纳为19个最突出的云安全威胁。其结果就是该组织所称的“惊人的11个”，按重要性排列如下。

1. 数据泄露，例如Capital One事件，其中“敏感、受保护或机密信息被未经授权的个人发布、查看、窃取或使用”。

2. 错误配置和不充分的变更控制是由设置错误导致的，这些错误使云资源容易受到恶意活动的攻击。”

3.缺乏云安全体系结构和策略，导致IT部门不理解自己在云安全中的角色，或者不小心将现有的内部应用程序迁移到云基础设施，而没有使其适应新的安全环境。

4. 不充分理解云身份和访问管理(IAM)服务和控制以及不充分地保护云凭据，例如频繁地旋转加密密钥、密码和证书，从而导致身份、凭据、访问和密钥管理不足。

5. 通过网络钓鱼攻击或窃取凭证劫持帐户(见#4)。

6. 内部威胁，指某人滥用其对云资源的授权访问，恶意或无意地破坏系统或暴露敏感数据以破坏操作。这些威胁可能来自现任或前任雇员、承包商或可信任的业务伙伴。

7. 不安全的接口和API，其中配置或设计不良的API允许攻击者滥用应用程序或访问数据。正如该报告所详细描述的，面向公众的云系统的接口不断受到攻击，而且，正如Capital One所发现的，它常常是攻击者访问其他内部漏洞的门户。

8. “弱控制平面”就是没有经过深思熟虑的云策略的一个例子，这种策略导致没有充分理解云管理、安全控制和数据流，以及不恰当地使现有流程适应明显不同的环境。

9. 元结构和应用程序结构的失败是由云提供商对API和其他管理接口的弱实现造成的。根据CSA的报告,

元结构被认为是CSP/客户界线，也称为基线。为了提高客户对云的可见性，csp经常公开或允许API与水线上的安全进程进行交互。不成熟的csp常常不确定如何使api对客户可用，以及在多大程度上可用。例如，允许客户检索日志或审计系统访问的api可能包含高度敏感的信息。

虽然不在基线上，但是用于启动服务器端请求伪造(SSRF)的AWS元数据服务是元结构失败的一个例子。

10. 当不完全了解组织内的云使用情况，从而忽略安全问题时，就会出现有限的云使用可视性。当以下两种情况发生时:(a)员工未经IT授权使用云应用程序和/或资源，即影子IT，或(b)授权的内部人员滥用其访问权限(#6)就会出现上述的结果。

11. 滥用和恶意使用云服务，攻击者使用云服务来托管恶意软件或发起攻击，隐藏在云提供商域名的合法性背后。来自云基础设施的威胁通常包括恶意软件存储和传播、DDoS攻击、电子邮件垃圾邮件和钓鱼活动以及自动点击欺诈。